禁止COOKIE后對SESSION的影響

一.理解SESSION機制

　　簡單來說：每一個SESSION都有一個唯一的session_id , 默認情況下，session_id存儲在客戶端（默認COOKIE['PHPSESSID']），

　　 在使用SESSION的時候會先從客戶端讀取相應的SESSION_ID，如果客戶端禁止使用SESSION將不能按照默認的方式來使用SESSION

1.session.save_handler = files（這是php.ini中的一條配置）
    * 1 . session_start ()
         (1) session_start ()是session機制的開始，它有一定概率開啟垃圾回收 , 因為session是存放在文件中，
PHP自身的垃圾回收是無效的，SESSION的回收是要刪文件的，這個概率是根據php . ini的配置決定的，
但是有的系統是 session . gc_probability = 0 ，這也就是說概率是0，而是通過cron腳本來實現垃圾回收。　

session . gc_probability = 1 session . gc_divisor = 1000 session . gc_maxlifetime = 1440 // 過期時間 默認24分鍾

            概率是 session.gc_probability/session.gc_divisor 結果 1/1000,
            不建議設置過小，因為session的垃圾回收，是需要檢查每個文件是否過期的。       

session . save_path ="不同的系統有不同設置"

　　　好像不同的系統默認不一樣，有一種設置是 "N;/path"
           這是隨機分級存儲，這個樣的話，垃圾回收將不起作用，需要自己寫腳本
         (2)  session會判斷當前是否有 $_COOKIE [ session_name ()]; session_name ()返回保存session_id的COOKIE鍵值，
這個值可以從php . ini找到            

session . name = PHPSESSID // 默認值PHPSESSID 

         (3)  如果不存在會生成一個session_id , 然后把生成的session_id作為COOKIE的值傳遞到客戶端 . 

相當於執行了下面COOKIE 操作，注意的是，這一步執行了setcookie()操作，COOKIE是在header頭中發送的，
這之前是不能有輸出的，PHP有另外一個函數 session_regenerate_id () 如果使用這個函數，這之前也是不能有輸出的。               

 setcookie (
　　　　　　session_name () , 
           session_id () , 
           session . cookie_lifetime , // 默認0 
           session . cookie_path , // 默認'/'當前程序跟目錄下都有效 
           session . cookie_domain , // 默認為空 
 )

 

        (4)  如果存在那么session_id = $_COOKIE [ session_name ];

            然后去session . save_path指定的文件夾里去找名字為 ' SESS_ ' . session_id ()的文件 .
            讀取文件的內容反序列化，然后放到 $_SESSION中

    * 2 . 為 $_SESSION賦值
      比如新添加一個值 $_SESSION [ ' test ' ] = ' blah ' ; 那么這個 $_SESSION只會維護在內存中 ，當腳本執行結束的時候，
用把 $_SESSION的值寫入到session_id指定的文件夾中 ，然后關閉相關資源 .       這個階段有可能執行更改session_id的操作，
比如銷毀一個舊的的session_id，生成一個全新的session_id . 一半用在自定義 session操作，角色的轉換上，
比如Drupal . Drupal的匿名用戶有一個SESSION的，當它登錄后需要換用新的session_id

　　 session_regenerate_id — 使用新生成的會話 ID 更新現有會話 ID   

　　 ession_name — 讀取/設置會話名稱

　　 session_id — 獲取/設置當前會話 ID   

if ( isset ( $_COOKIE [ session_name ()])) {
          setcookie ( session_name () , '' , time () - 42000 , ' / ' ); // 舊session cookie過期 
        }
session_regenerate_id (); //和下面的代碼是一個意思，會更新當前對話的sess_id
// 這一步會生成新的session_id
//session_id()返回的是新的值 

<?php  
    session_start();//開始使用SESSION
    echo session_id();//獲取當前會話中的session的ID
    echo '<hr>';
    echo session_name();//獲取當前會話中的SESSION的NAME
    setcookie(session_name(), '', time()-4200, '/');//設置客戶端中存儲的session id

    // 這樣會連續生成很多session文件
?>

　　session與垃圾回收機制，可以設置(1)中php.ini的參數，設置服務器對SESSION文件的清理頻率

　　3 . 寫入SESSION操作

      在腳本結束的時候會執行SESSION寫入操作，把 $_SESSION中值寫入到session_id命名的文件中 ，可能已經存在，
可能需要創建新的文件。
    * 4 . 銷毀SESSION
      SESSION發出去的COOKIE一般屬於即時COOKIE，保存在內存中，當瀏覽器關閉后，才會過期，假如需要人為強制過期，
比如 退出登錄，而不是關閉瀏覽器，那么就需要在代碼里銷毀SESSION，方法有很多，
          o 1 . setcookie ( session_name () , session_id () , time () - 8000000 , .. ); // 退出登錄前執行
          o 2 . usset( $_SESSION ); // 這會刪除所有的$_SESSION數據，刷新后，有COOKIE傳過來，但是沒有數據。
          o 3 . session_destroy (); // 這個作用更徹底，刪除$_SESSION 刪除session文件，和session_id

      當不關閉瀏覽器的情況下，再次刷新，2和3都會有COOKIE傳過來，但是找不到數據
2.session.save_handler = user
      用戶自定義session處理機制，更加直觀
    * session_set_save_handler ( ' open ' , ' close ' , ' read ' , ' write ' , ' destroy ' , ' gc ' );
　　1 . session_start () ,
     　　 執行open( $save_path , $session_name )打開session操作句柄
      　　$save_path 在session . save_handler = files的情況下它就是session . save_path，
　　　　但是如果用戶自定的話，這個兩個參數都用不上，直接返回TRUE

      　　執行read( $id )從中讀取數據 . // 這個參數是自動傳遞的就是session_id(),可以通過這個值進行操作。
    * 2 . 腳本執行結束
      　　執行write( $id , $sess_data ) // 兩個參數，很簡單
    * 3 . 假如用戶需要session_destroy()
      　　先執行destroy.在執行第2步

//SESSION初始化的時候調用
      function open($save_path, $session_name)
      {
        global $sess_save_path;
        $sess_save_path = $save_path;
        return(true);
      }

      //關閉的時候調用
      function close()
      {
        return(true);
      }

      function read($id)
      {
        global $sess_save_path;
        $sess_file = "$sess_save_path/sess_$id";
        return (string) @file_get_contents($sess_file);
      }
      //腳本執行結束之前，執行寫入操作
      function write($id, $sess_data)
      {
        echo "sdfsf";
        global $sess_save_path;

        $sess_file = "$sess_save_path/sess_$id";
        if ($fp = @fopen($sess_file, "w")) {
          $return = fwrite($fp, $sess_data);
          fclose($fp);
          return $return;
        } else {
          return(false);
        }

      }

      function destroy($id)
      {
        global $sess_save_path;

        $sess_file = "$sess_save_path/sess_$id";
        return(@unlink($sess_file));
      }

      function gc($maxlifetime)
      {
        global $sess_save_path;

        foreach (glob("$sess_save_path/sess_*") as $filename) {
          if (filemtime($filename) + $maxlifetime < time()) {
            @unlink($filename);
          }
        }
        return true;
}

 

session與cookie區別：

       為什么會有cookie呢,大家都知道，http是無狀態的協議，客戶每次讀取web頁面時，服務器都打開新的會話，而且服務器也不會自動維護客戶的上下文信息。

        session就是一種保存上下文信息的機制，它是針對每一個用戶的，變量的值保存在服務器端，通過SessionID來區分不同的客戶,session是以cookie或URL重寫為基礎的，默認使用cookie來實現，系統會創造一個名為 PHPSESSID的輸出cookie，我們叫做session cookie; 以區別persistent cookies,也就是我們通常所說的cookie,注意session cookie是存儲於瀏覽器內存中的，並不是寫到硬盤上的，這也就是我們剛才看到的JSESSIONID，我們通常情是看不到JSESSIONID的。

        但是當我們把瀏覽器的cookie禁止后，web服務器會采用URL重寫的方式傳遞Sessionid，我們就可以在地址欄看到 sessionid=KWJHUG6JJM65HS2K6之類的字符串。

         明白了原理，我們就可以很容易的分辨出persistent cookies和session cookie的區別了，網上那些關於兩者安全性的討論也就一目了然了，session cookie針對某一次會話而言，會話結束session cookie也就隨着消失了，而persistent cookie只是存在於客戶端硬盤上的一段文本（通常是加密的），而且可能會遭到cookie欺騙以及針對cookie的跨站腳本攻擊，自然不如 session cookie安全了。

         通常session cookie是不能跨窗口使用的，當你新開了一個瀏覽器窗口進入相同頁面時，系統會賦予你一個新的sessionid，這樣我們信息共享的目的就達不到 了，此時我們可以先把sessionid保存在persistent cookie中，然后在新窗口中讀出來，就可以得到上一個窗口SessionID了，這樣通過session cookie和persistent cookie的結合我們就實現了跨窗口的session tracking（會話跟蹤）。

         在一些web開發的書中，往往只是簡單的把Session和cookie作為兩種並列的http傳送信息的方式，session cookies位於服務器端，persistent cookie位於客戶端，可是session又是以cookie為基礎的，明白的兩者之間的聯系和區別，我們就不難選擇合適的技術來開發web service了。

二.php.ini配置

　　我們都知道當在session 會話有基於cookie和基於url兩種傳遞SESSIONID的方法。為了實現客戶端禁止cookie發送的情況也不影響客戶登陸網站，可以設置 php.ini中 session.use_trans_sid=1 ，表示當客戶端瀏覽器禁止cookie的時候，頁面上的鏈接會基於url傳遞SESSIONID。但是很多人僅僅設置了這一個選項並沒有達到效果，本人也 遇到此問題，后來一番研究發現
php.ini 文件中還有兩個選項
　　　　session.use_cookies=1
　　　　session.use_only_cookies=1
　　仔細琢磨上面的英文就會發現其意義
　　　　session.use_cookies表示是否開始基於cookies的session會話
　　　　session.use_only_cookies 表示是否只開啟基於cookies的session的會話方式　　
　　所以如果想要在瀏覽器開啟cookie的時候用基於cookie的方式，在未開啟cookie的時候使用url的方式就進行如下設置（最常用的方式，推薦）
　　在php.ini文件中
　　　　session.use_trans_sid=1
　　　　session.use_only_cookies=0
　　　　session.use_cookies=1　　
　　或者 在php程序中
　　　　ini_set(“session.use_trans_sid”,”1″);
　　　　ini_set(“session.use_only_cookies”,0);
　　　　ini_set(“session.use_cookies”,1);
　　如果不管瀏覽器是否開啟cookie，都使用url的方式就進行如下設置（這個例子主要想說明一下設置session.use_only_cookies 和 session.use_cookies的區別）
　　在php.ini文件中
　　　　session.use_trans_sid=1
　　　　session.use_only_cookies=0
　　　　session.use_cookies=0
　　或者 在php程序中
　　　　ini_set(“session.use_trans_sid”,”1″);
　　　　ini_set(“session.use_only_cookies”,0);
　　　　ini_set(“session.use_cookies”,0);
　　動手自己試一試 你就會明白session.use_only_cookies 和 session.use_cookies的區別。

三.總結

主要利用的函數：

　　session_id();----用來設置要用的SESSION的會話ID，在php.ini配置允許的情況下;必須在session_start()之前啟用

　　以URL重寫方式會話的代碼

<?php  
    if($_GET['sess_id']){
        session_id($_GET['sess_id']);    
    }
    session_start();//開始使用SESSION,如果要自己設置(比如URL重寫方式), 要在sesstion_start()前邊,否則將不能設置新的sess_id
    $_SESSION['name'] = 'this is a test2222';
    echo $_SESSION['name'];
    //當瀏覽器禁止cookie后，每次加載SESSION都會建立新的文件,這樣就不能實現會話的功能了
?>